Toegang tot bedrijfskritische systemen in minuten

Recent voerden wij een pentest uit op een intern bedrijfsnetwerk met enkele honderden werkplekken. Dit houdt in dat we met onze eigen laptops op locatie de pentest uitvoerden vanuit een insider threat gedachte: wat kan een aanvaller met toegang tot het intern bedrijfsnetwerk? Dit pakken we natuurlijk wel gericht aan. Zo hebben we vooraf samen met de organisatie onderzoeksvragen geformuleerd. Eén van de onderzoeksvragen had betrekking op het verkrijgen van toegang tot de back-upomgeving binnen het netwerk.

Bij de start van de pentest hebben wij meerdere tools en scripts parallel draaien. Deze geven ons binnen een korte tijd veel nuttige informatie over het intern bedrijfsnetwerk en gebruikte netwerkprotocollen. Door het misbruiken van bepaalde netwerkprotocollen lukte het ons om een gebruikersaccount over te nemen zonder dat de eindgebruiker er iets van merkt. Dit is een belangrijke mijlpaal. Met een gecompromitteerd gebruikersaccount is namelijk vaak al toegang tot interne gevoelige informatie mogelijk. Denk bijvoorbeeld aan persoonsgegevens en salarisstroken van medewerkers en klantgegevens. Aanvullend kunnen er technische aanvallen worden uitgevoerd die zonder gebruikersaccount nog niet mogelijk zijn.

Met het gebruikersaccount hebben we vervolgens een kwetsbaarheid binnen Active Directory gedetecteerd. Dit stelde ons in staat om een geheim ticket van een account met beheerrechten te verkrijgen. Door het geheim ticket te kraken konden we het leesbaar wachtwoord achterhalen. Hiermee konden we als beheerder inloggen op het intern netwerk. Concreet betekende dit toegang tot zowel de back-upomgeving alsook álle gebruikers, computers en data in het Windows netwerk.

Deze aanvallen klinken wellicht complex, al zijn ze dat niet. De totale duur van laptop aansluiten op het netwerk en het verkrijgen van beheerderstoegang? We hebben het niet getimed maar de eerste kop koffie was nét op ;). Nu gaat het ons zeker niet om snelheid, al kunnen sommige aanvallen nu eenmaal wel vlug verlopen. Het geeft des te meer de impact aan. Andere aanvalspaden naar de back-upomgeving zijn uiteraard ook onderzocht.

Heb je jouw intern bedrijfsnetwerk al eens gericht laten doortesten? Heb je een scherp beeld van actuele risico’s? Neem gerust contact met ons op, wij denken graag met je mee!